Стары тэлефон як VPN-шлюз: тры ўмовы для праверкі
Стары тэлефон становіцца прыладай толькі тады, калі роля падтрымліваецца, сетка да яго дасягае і нехта адказвае за аднаўленне. Тры ўмовы, адно рашэнне.
Тэлефон з шуфляды мае працэсар, флэш-памяць, Wi-Fi і батарэю — гэта больш абсталявання, чым у большасці аднаплатных камп'ютараў, якія людзі з задавальненнем разгортваюць. У яго таксама ёсць экран, старая батарэя і аперацыйная сістэма, якая перастае атрымліваць абнаўленні, калі вытворца ідзе далей. Нішто з гэтага не вырашае, ці стане ён VPN-шлюзам або NAS.
Ці стане ён VPN-шлюзам або NAS, не вызначае гэтае параўнанне, бо параўнанне — пра магчымасці, а рашэнне — пра эксплуатацыю.
Гэта вызначаюць тры ўмовы. Калі хоць адна не выконваецца, праект — гэта эксперымент на выхадныя, а не прылада, і лепш ведаць, якая ўмова не выканалася, перш чым пераносіць на яго даныя.
Умова першая: роля сапраўды падтрымліваецца
Тры ўладкаванні называюць адным і тым жа. VPN-кліент абараняе трафік праграм на тэлефоне. VPN-сервер прымае ўваходныя злучэнні. Шлюз перадае трафік іншых прылад у тунель. Гэта розныя праекты, і працоўны кліенцкі тунель нічога не даказвае пра два іншыя.
Праграма на стандартным Android падпарадкоўваецца правілам фонавага выканання, а адкрыты тэрмінал — не дэман. Уласны даведнік па Doze і App Standby платформы тлумачыць, чаму фонавы працэс можа страціць доступ да сеткі, калі прылада вырашае прастойваць, і гэта менавіта тое паводзіны, якога нельга мець у шлюзе.
Прастора карыстальніка Linux унутры Android атрымлівае больш абмежаванняў, чым прыбірае. chroot змяняе корань файлавай сістэмы, але па-ранейшаму працуе на ядры Android, яго драйверах і яго палітыцы бяспекі, таму корань унутры chroot — не корань над платформай. Замена ж аперацыйнай сістэмы робіць падтрымку мадэма, памяці і харчавання для канкрэтнага апарата часткай вашага праекта, а падтрымка апаратаў звычайна — тая частка, якую ніхто не суправаджае.
Умова другая: адрас дасяжны
Шлюз павінен быць дасяжным для кліентаў, якія на яго спадзяюцца. Тэлефон на Wi-Fi унутры хатняга роўтара дасяжны з гэтай LAN і з любога месца, куды роўтар перадае, але не з інтэрнэту, калі вы гэта не арганізуеце.
Мабільная сетка робіць гэта складанейшым, а не прасцейшым. Многія мабільныя сеткі змяшчаюць абанентаў за NAT аператарскага ўзроўню, таму ўваходнага адраса для перадачы няма зусім, і даданне мадэма не стварае публічнага слухача. Калі патрабаванне — аддалены доступ звонку, дызайн мусіць уключаць рэлей або накладзеную сетку, да якой абодва бакі падключаюцца вонкава, і гэта другая рухомая частка для суправаджэння.
Падключэнне да сеткі таксама залежыць ад прылады. Адныя тэлефоны прымаюць USB-адаптары Ethernet, другія не, а Wi-Fi дадае сваю затрымку і паводзіны пры роўмінгу. Шлюз, які засынае, калі экран выключаны, або скідвае тунель падчас перадачы, горш за адсутнасць шлюза.
Умова трэцяя: хтосьці адказвае за абнаўленні і аднаўленне
Гэта ўмова, якую людзі прапускаюць, і менавіта яна вырашае, ці пражыве рэч год. Кожны кампанент патрабуе ўладальніка: зборка аперацыйнай сістэмы, ядро, калі вы яго замянілі, серверны пакет, сертыфікаты і ўліковыя даныя, якія вы выдалі.
Аднаўленне — складанейшая палова. Як трапіць унутр пасля перазагрузкі без экрана, з разбітай сэнсарнай панэллю або ўздутай батарэяй? Як адклікаць страчаную ідэнтычнасць кліента? Як аднавіць памяць на заменнай прыладзе, калі арыгінал — знятая з вытворчасці мадэль?
Харчаванне таксама тут. Пастаянная нагрузка азначае пастаяннае цяпло, а старая батарэя — не аўтаматычны UPS. Ідзіце за рэкамендацыямі вытворцы і лічыце любое ўздуцце або пашкоджанне сігналам спыніцца, а не чымсьці, што можна абыйсці.
Калі адказ — не
Праверце тры ўмовы супраць таго, што вам сапраўды патрэбна, і будзьце дакладнымі пра задачу, а не пра катэгорыю.
| Task | Phone is reasonable when |
|---|---|
| Protecting the phone's own traffic | The client is a supported Android app; no forwarding involved |
| Small lab tunnel inside one LAN | Downtime is acceptable and you can reach the device to fix it |
| Household NAS holding the only copy | Never; that is a backup problem, not a hardware problem |
| Unattended remote access for others | You already own patching, revocation and replacement |
Выдзелены хост Linux таксама не пазбягае спіса. Ён мае больш ясны шлях кіравання службамі, памяццю і сеткай, калі абсталяванне і дыстрыбутыў падтрымліваюцца, але ўсё яшчэ патрабуе харчавання, абнаўленняў і рэзервовых копій. Плата сама па сабе — не прылада.
Таму выбірайце тэлефон, калі яго падтрыманыя магчымасці адпавядаюць сціплай задачы і эксперыментальны прастой сапраўды прымальны. Выбірайце нешта іншае, калі патрабаванне — хатняя памяць, якую нельга страціць, або аддалены доступ, на які будуць спадзявацца іншыя людзі. У абодвух выпадках вырашальны фактар — прайгравальная ўстаноўка і працэдура аднаўлення, якую вы сапраўды праверылі, і нішто з бясплатнага абсталявання не заменіць ні таго, ні іншага.